Ping usmerjevalnika proti gostitelju VLAN: katera politika PBR velja?

VLAN 10 bi morala uporabljati VPN, VLAN 20 pa WAN, zato je prvi preizkus ping z usmerjevalnika z naslovom vmesnika VLAN 10 kot virom. Uspe, števci route-map se povečajo in vsi sklenejo, da zasnova deluje. Ne deluje. Ta ping je bil ustvarjen lokalno, lokalno ustvarjen promet pa doseže drugo točko priključitve politike kot paket, ki prispe na vmesnik VLAN.

Trije pogoji odločajo, katero politiko v resnici preizkušate: kje paket nastane, kje vstopi in čemu se ujema.

Kje paket vstopi, odloča, katera politika se izvede

Route-map vmesnika, priključen z ip policy route-map, velja za pakete, ki prispejo na ta vmesnik, kot opisuje vodnik po PBR za IOS XE. Gostitelj v VLAN 10 pošlje svojo zahtevo, okvir prispe na podvmesnik VLAN in usmerjevalnik tam oceni politiko. Lasten paket usmerjevalnika nikoli ne prispe na ta vmesnik, ker je nastal v usmerjevalniku.

Izbira naslova VLAN kot vira spremeni glavo. Ne spremeni izvora.

Zakaj ping z virom še vedno ni gostitelj

Izvorni naslov je pomemben za ujemanje ACL in prav zato je preizkus tako prepričljiv. Paket se ujema s klavzulo vira, števci se povečajo in izpis je videti pravilen. Preizkus ne more pokazati vhodnega vmesnika, konteksta prihoda ali tega, ali bi paket gostitelja izbral isto vejo.

Preizkus, ki reproducira ujemanje, ne pa konteksta, dokazuje polovico zasnove, in prav s polovičnim dokazom se zasnove pošljejo v uporabo z napačno pripeto politiko.

Kdaj je lokalna politika pravi odgovor

Cisco dokumentira ip local policy route-map za promet, ki ga usmerjevalnik ustvari sam. To je ločen obseg in pravo orodje, kadar se zahteva resnično nanaša na promet samega usmerjevalnika. To ni manjkajoč korak, ki bi ga potrebovala vsaka zasnova krmiljenja VLAN. Široko ujemanje tam lahko vpliva tudi na upravljalne in podporne povezave, kar je veliko večja sprememba, kot je videti.

Lokalno ustvarjen TCP ima dodatni predpogoj: potrebuje ustrezno vhodno mesto cilja v usmerjevalni tabeli, tudi ko politika izbere drugo pot. Rezultat ICMP ne dokazuje enakega vedenja za TCP.

Kaj namesto tega preizkusiti na gostitelju

Zaženite preizkus z avtoriziranega gostitelja v VLAN 10 z njegovim resničnim izvornim naslovom, ciljem, protokolom in vrati. Zabeležite vhodni vmesnik in ujemanje route-map ob rezultatu, da dokaz poimenuje politiko, ki se je izvedla. Nato ponovite za gostitelja v VLAN 20 in potrdite, da izbere drugo pot.

Obe poti potrebujeta delujoče next hop, povratno dosegljivost in, kjer velja, pokritost VPN. PBR izbere odločitev o posredovanju; ne ustvari oddaljene storitve in aplikaciji ne podeli dovoljenja.

Kaj lahko rezultat dokaže in česa ne

Uspešen tok gostitelja dokaže, da se je politika ujemala in da je izbrana pot v tistem trenutku delovala. Ne dokaže, da je promet samega usmerjevalnika usmerjen, in ne dokaže, da je bila aplikacija avtorizirana, ker so to druga vprašanja z drugimi dokazi.

Ping ohranite v zapisu kot dokaz o lokalnem paketu. Nato pojdite po dokaz toka gostitelja, namesto da razširite obseg politike, dokler oba preizkusa ne začneta izgledati enako.